Backup-Strategie für den Mittelstand: der Praxis-Leitfaden
Wie eine belastbare Backup-Strategie im Mittelstand aussieht: die 3-2-1-Regel erklärt, Schutz vor Ransomware durch Offline-Backups, RPO und RTO, das Microsoft-365-Missverständnis – und wann Backup als Service sinnvoll ist.
- Die 3-2-1-Regel ist der bewährte Standard für den Mittelstand: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Medien, davon mindestens eine außer Haus oder offline.
- Gegen Ransomware hilft nur ein Backup, das Angreifer nicht mitverschlüsseln können – also eine offline oder unveränderbar (immutable) aufbewahrte Kopie.
- Ein ungetestetes Backup ist nur eine Hoffnung: Erst die regelmäßig geprüfte Wiederherstellung macht aus einer Sicherung echten Schutz. RPO und RTO legen fest, wie viel Datenverlust und Ausfallzeit Sie verkraften.
- Microsoft sichert die Inhalte von Microsoft 365 nicht vollständig – für E-Mails, Dateien und Teams-Daten brauchen Sie ein eigenes Backup.
Die meisten Unternehmen denken über ihr Backup erst an dem Tag ernsthaft nach, an dem sie es brauchen. Dann liegt der Server still, die Buchhaltung kommt nicht an ihre Daten, und die entscheidende Frage lautet: Wann wurde zuletzt gesichert – und lässt sich diese Sicherung überhaupt zurückspielen? Eine Backup-Strategie beantwortet diese Frage, bevor sie gestellt werden muss. Dieser Leitfaden zeigt, wie eine belastbare Datensicherung im Mittelstand aussieht: von der 3-2-1-Regel über den Ransomware-Schutz bis zu den Werten, an denen sich alles messen lässt.
Warum Backup im Mittelstand unterschätzt wird
Datensicherung wirkt wie eine erledigte Sache. Irgendwo läuft ein Sicherungsjob, irgendwo liegt eine externe Festplatte – also wird es schon passen. Genau diese trügerische Ruhe ist das Problem. Denn ein Backup, das läuft, ist nicht dasselbe wie ein Backup, das im Ernstfall auch wirklich Daten zurückbringt.
Im Mittelstand kommen mehrere Dinge zusammen. Oft trägt eine einzelne Person die Verantwortung für die IT, und die Sicherung läuft, seit sie einmal eingerichtet wurde, unbeobachtet weiter. Ob sie noch alle wichtigen Systeme erfasst, ob die Festplatte voll ist, ob die letzte Rückspielung überhaupt je getestet wurde – das prüft im Tagesgeschäft niemand. Dazu kommt, dass Daten heute an vielen Orten liegen: auf dem Server, in Microsoft 365, auf Laptops, in Fachanwendungen. Eine Sicherung, die nur den Server erfasst, lässt große Lücken offen.
Die 3-2-1-Regel: das Fundament jeder Datensicherung
Wenn es eine einzige Regel gibt, die eine Backup-Strategie tragen kann, dann diese. Die 3-2-1-Regel ist seit Jahren der anerkannte Standard – einfach zu merken und schwer zu widerlegen. Sie besteht aus drei Zahlen:
- 3 Kopien: Halten Sie insgesamt drei Kopien Ihrer Daten vor – das Original im laufenden Betrieb plus zwei Sicherungen. Fällt eine aus, bleiben noch zwei.
- 2 Medien: Speichern Sie diese Kopien auf zwei unterschiedlichen Medientypen. Wenn beide Backups auf demselben NAS im selben Schrank liegen, teilen sie dasselbe Schicksal – bei Defekt, Blitzschlag oder Diebstahl sind beide weg.
- 1 extern oder offline: Mindestens eine Kopie liegt außer Haus oder getrennt vom Tagesbetrieb. Ein Brand, ein Wasserschaden oder ein Verschlüsselungsangriff im Firmennetz darf nicht alle Kopien auf einmal erwischen.
Diese eine externe, getrennte Kopie ist der Teil, an dem die meisten Strategien scheitern – und ausgerechnet der wichtigste. Eine ausführliche Definition finden Sie auch in unserem Wissens-Eintrag zum Backup.
„Backup, Backup, Backup. Nicht nur ein Backup vorhalten, sondern mehrere.”
— Dennis Kreft, Senior Consultant
Der Satz klingt fast trivial, trifft aber den Kern: Redundanz ist keine Verschwendung, sondern die eigentliche Versicherung. Eine einzige Sicherung ist ein einziger Ausfallpunkt.
Voll oder inkrementell: wie oft und wie viel gesichert wird
Wie eine Sicherung technisch abläuft, entscheidet über Speicherbedarf und Geschwindigkeit. Grob gibt es zwei Verfahren, die in der Praxis kombiniert werden.
Ein Vollbackup sichert jedes Mal den kompletten Datenbestand. Das ist einfach zurückzuspielen, weil alles in einer Sicherung steckt, kostet aber viel Speicher und Zeit. Ein inkrementelles Backup sichert nur, was sich seit der letzten Sicherung geändert hat. Das ist schnell und sparsam, verlangt beim Zurückspielen aber die vollständige Kette: das letzte Vollbackup plus alle folgenden Änderungen.
In der Praxis bewährt sich eine Mischung: ein regelmäßiges Vollbackup als Anker, dazwischen häufige inkrementelle Backups. So bleibt der Aufwand überschaubar, und die Zeitpunkte, zu denen Sie zurückkehren können, liegen dicht beieinander. Wie dicht sie liegen müssen, ergibt sich nicht aus der Technik, sondern aus einer Geschäftsentscheidung – dazu gleich mehr.
Ransomware: warum eine Kopie offline oder unveränderbar sein muss
Der häufigste Grund, warum ein Backup im Ernstfall versagt, hat einen Namen: Ransomware. Bei einem Verschlüsselungsangriff verschaffen sich Angreifer Zugang zum Netzwerk und verschlüsseln alle erreichbaren Daten. Und moderne Schadsoftware ist gründlich – sie sucht gezielt nach verbundenen Sicherungslaufwerken und Backup-Servern und verschlüsselt sie gleich mit. Ein Backup, das dauerhaft online und beschreibbar am Netz hängt, wird dann Teil des Schadens statt seiner Lösung.
Deshalb ist die „1” aus der 3-2-1-Regel bei Ransomware die entscheidende Zahl. Eine Kopie muss außerhalb der Reichweite der Angreifer liegen. Dafür gibt es zwei Wege:
- Offline (air-gapped): Die Sicherung ist physisch oder logisch vom Netz getrennt und nur zum Sichern kurz verbunden. Was nicht erreichbar ist, kann nicht verschlüsselt werden.
- Unveränderbar (immutable): Die Kopie wird für einen festgelegten Zeitraum schreibgeschützt gespeichert. Selbst mit gestohlenen Administratorrechten lässt sie sich in dieser Zeit weder überschreiben noch löschen.
Das BSI führt die vom Netz getrennte Sicherung in seinen Top 10 der Maßnahmen gegen Ransomware ausdrücklich auf. Wie ein solcher Angriff abläuft und was ihn stoppt, beschreibt unser Beitrag zu Ransomware im Detail.
„Ein ungetestetes Backup ist nur eine Hoffnung”
Dieser Satz gehört an jede Serverwand. Denn die eigentliche Prüfung eines Backups ist nicht, ob es läuft, sondern ob sich die Daten daraus zurückholen lassen – vollständig, lesbar und in vertretbarer Zeit. Es gibt genug Fälle, in denen die Sicherungsjobs jahrelang grün gemeldet haben und im Ernstfall doch nichts brauchbar war: falscher Ordner erfasst, Datenbank inkonsistent gesichert, Medium unlesbar. Erst der Wiederherstellungstest verwandelt eine Sicherung in echten Schutz.
Zwei Kennzahlen machen das Ziel messbar:
- RPO (Recovery Point Objective): Wie viel Datenverlust ist verkraftbar? Der RPO ist der Abstand zwischen zwei Sicherungen. Ein RPO von einer Stunde bedeutet: Im schlimmsten Fall geht die Arbeit einer Stunde verloren. Für die Buchhaltung mag das kritisch sein, für ein selten geändertes Archiv genügt ein RPO von einem Tag.
- RTO (Recovery Time Objective): Wie schnell muss ein System wieder laufen? Ein Warenwirtschaftssystem im Versandhandel braucht einen kurzen RTO, eine interne Dokumentenablage verträgt mehr.
Aus RPO und RTO ergibt sich alles Weitere: wie oft Sie sichern, welche Technik dafür nötig ist und wie die Wiederherstellung vorbereitet sein muss. Und beide Werte hängen eng mit dem IT-Notfallplan zusammen, der festlegt, in welcher Reihenfolge die Systeme im Ernstfall wieder hochfahren. Testen Sie die Rückspielung regelmäßig – mindestens einmal im Jahr, besser häufiger und für jedes kritische System.
Microsoft 365: der weit verbreitete Irrtum
Ein Missverständnis kostet im Mittelstand immer wieder Daten: die Annahme, Microsoft sichere die Inhalte von Microsoft 365 automatisch und vollständig. Das ist so nicht richtig. Microsoft sorgt für die Verfügbarkeit der Plattform und schützt vor dem Ausfall der eigenen Rechenzentren. Für Ihre Inhalte – E-Mails, Dateien in SharePoint und OneDrive, Teams-Daten – gilt das sogenannte Modell der geteilten Verantwortung: Die Plattform gehört Microsoft, die Daten gehören Ihnen, und damit auch die Verantwortung, sie zu sichern.
In der Praxis heißt das: Gelöschte oder überschriebene Elemente sind meist nur für einen begrenzten Zeitraum wiederherstellbar. Wer eine versehentlich gelöschte E-Mail nach Monaten zurückholen will, wer sich gegen einen böswilligen Innentäter absichern muss oder wer aus rechtlichen Gründen Daten über Jahre vorhalten soll, steht ohne eigenes Backup im Regen. Microsoft beschreibt diese Aufteilung in der Dokumentation zur Datenresilienz selbst. Ein dediziertes Microsoft-365-Backup schließt diese Lücke – und gehört in jede Strategie, die diesen Namen verdient.
Backup als Managed Service
Eine gute Backup-Strategie ist kein Projekt mit Enddatum, sondern ein Betrieb. Die Sicherungen müssen laufen, überwacht und regelmäßig getestet werden; neue Systeme müssen aufgenommen, die Kette darf nicht reißen. Genau hier verlaufen im Mittelstand die stillen Risiken: nicht weil das Wissen fehlt, sondern weil im Tagesgeschäft niemand die Zeit hat, die grünen Häkchen zu hinterfragen.
Als betreuter Service übernimmt kjello diese Daueraufgabe. Wir sichern Ihre Server, Endgeräte und Microsoft-365-Daten nach der 3-2-1-Regel, halten eine unveränderbare Kopie außer Reichweite von Angreifern vor, überwachen jeden Sicherungslauf und testen die Wiederherstellung – damit im Ernstfall nicht die Hoffnung, sondern der Plan greift. Wie das aussieht, zeigt die Seite Backup als Service; wie sich Datensicherung in den größeren Sicherheitsrahmen einfügt, sehen Sie unter IT-Sicherheit & Compliance.
Der beste Einstieg ist ein ehrlicher Kassensturz: Was wird heute gesichert, was nicht, und wann wurde zuletzt eine Wiederherstellung getestet? Wer diese Fragen nicht sicher beantworten kann, hat kein Backup-Problem in der Zukunft, sondern ein ungelöstes in der Gegenwart. Laden Sie als ersten Schritt unsere Notfallplan-Vorlage herunter – sie hilft, die kritischen Systeme zu erfassen und ihre Wiederanlauf-Reihenfolge festzulegen.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was ist die 3-2-1-Regel beim Backup?
Sichert Microsoft die Daten in Microsoft 365 automatisch?
Wie schützt ein Backup vor Ransomware?
Was bedeuten RPO und RTO?
Backup als Service – jetzt absichern
kjello sichert Ihre Server, Endgeräte und Microsoft-365-Daten nach der 3-2-1-Regel, hält eine unveränderbare Kopie vor und testet die Wiederherstellung regelmäßig – als betreuter Service zum planbaren Preis.
